Cómo comunicar una brecha a tus clientes sin perderlos

Hay un momento, en todo incidente con datos personales, en el que alguien pregunta: «¿esto hay que contarlo a los clientes?». La respuesta técnica está en la ley. La respuesta práctica —cómo se cuenta sin destrozar la confianza— no está en ninguna parte, y es la que decide si pierdes clientes o los conservas.

Esta guía va de lo segundo. El procedimiento formal ante la autoridad lo tienes en notificar una brecha a la AEPD en 72 horas: son dos cosas distintas y con plazos distintos.

Cuándo hay que comunicar a los afectados

La obligación de informar a las personas afectadas aparece cuando la brecha entraña un alto riesgo para sus derechos y libertades. No toda brecha llega a ese umbral. Señales de que sí:

• Se han expuesto datos que permiten suplantar a alguien o acceder a sus cuentas (credenciales, documentos de identidad).
• Hay datos económicos o de pago.
• Hay categorías especiales: salud, ideología, orientación, biometría.
• Los datos permiten fraude dirigido: listados de clientes con importes y fechas, que es justo el material de la estafa del cambio de cuenta.
• Afecta a menores o a personas en situación de vulnerabilidad.

Si los datos estaban cifrados de forma robusta y las claves no se han visto afectadas, puede decaer la obligación de comunicar a los afectados. Esa valoración hay que documentarla, no solo pensarla.

Cuándo hay que hacerlo

«Sin dilación indebida». No hay un número de horas como en la notificación a la autoridad, pero el criterio es claro: en cuanto tengas información suficiente para que el aviso sea útil, porque el objetivo es que la persona pueda protegerse.

Esperar a tenerlo todo resuelto suele ser un error: cuando la noticia llega antes por otro canal, el daño reputacional se multiplica.

Qué debe decir la comunicación

Cómo se escribe sin empeorarlo

Lo que funciona

• Asunto claro y honesto. «Información importante sobre la seguridad de tus datos». Nada de «actualización de nuestras políticas».
• Primero el titular. Qué pasó y si le afecta a esa persona. No empieces con tres párrafos sobre lo mucho que te importa la privacidad.
• Lenguaje de persona. «Alguien entró sin permiso» se entiende; «se ha producido un acceso no autorizado a los sistemas» genera desconfianza.
• Lo que NO se vio afectado, si puedes afirmarlo con certeza. Tranquiliza y acota el miedo.
• Acciones concretas con enlaces directos, no «revise sus medidas de seguridad».
• Firma con nombre y cargo. Un comunicado firmado por «El equipo» transmite que nadie da la cara.

Lo que hace daño

• Minimizar antes de saber: «no hay indicios de uso indebido» cuando llevas seis horas investigando.
• Culpar a un proveedor. Ante tus clientes, el responsable eres tú: aunque el fallo sea del encargado.
• Prometer plazos que no controlas.
• Enterrarlo en una nota en la web. Si hay que comunicar, se comunica directamente.
• Escribir un correo que parece phishing: sin enlaces raros, sin pedir datos y avisando de que nunca pedirás la contraseña.

La secuencia completa

1. Contener el incidente y conservar evidencias. Sin esto, todo lo demás se cuenta a ciegas.
2. Valorar qué datos y cuántas personas: aquí el registro de tratamientos ahorra horas.
3. Notificar a la autoridad si procede, dentro del plazo.
4. Preparar la comunicación a afectados, coordinada con quien lleve la parte legal.
5. Preparar al equipo: quien atienda el teléfono debe tener respuestas escritas. Un mensaje impecable y un teléfono que no sabe nada se contradicen.
6. Enviar, y dejar el canal abierto de verdad.
7. Cerrar: qué se ha corregido para que no vuelva a pasar, y contarlo cuando esté hecho.

Ese último paso es el que recupera la confianza. Una empresa que explica qué ha cambiado —y no solo que lo siente— acaba, en muchos casos, mejor considerada que antes del incidente.

Ten el guion preparado antes de necesitarlo: forma parte del plan de respuesta a incidentes. Redactar esto por primera vez a las dos de la mañana, con el equipo nervioso, es la peor forma de hacerlo.